Définition

Surface d'attaque d'un site web : définition

La surface d'attaque d'un site web est l'ensemble des composants exposés au public qu'une personne malveillante peut tenter d'exploiter : base de données, page de connexion, extensions installées, code exécuté à chaque visite. Elle grandit avec chaque logiciel qui tourne en ligne. C'est elle, plus que la notoriété du site, qui attire les tentatives d'intrusion. Un site précalculé la réduit à presque rien.

D'où vient la surface d'attaque

Le serveur et sa base de données, qui assemblent les pages à chaque visite et doivent être tenus à jour.
La page de connexion de l'administration et chaque compte qui y a accès.
Les extensions et les thèmes, développés par des tiers dont la qualité et la longévité varient.
Les scripts tiers (suivi, clavardage, tests) qui étendent le risque à des fournisseurs dont vous ignorez parfois l'existence.

Chaque élément est une porte de plus. Une extension installée pour une fonction utilisée deux fois par année reste un risque permanent pour un bénéfice faible.

Pourquoi un petit site est visé lui aussi

La plupart des tentatives d'intrusion sont automatiques. Des robots balaient le Web à la recherche de logiciels connus et de versions qui ont une faille publiée. Ils ne choisissent pas un site pour sa réputation : ils le trouvent parce qu'il fait tourner un logiciel vulnérable.

Sur WordPress, la société de sécurité Wordfence a recensé 8 223 vulnérabilités distinctes publiées en 2024, presque toutes dans des extensions et des thèmes plutôt que dans le cœur du logiciel. La plupart des compromissions exploitent des failles connues et corrigées depuis des semaines.

Comment la réduire

Sur un site dynamique, on la réduit en retirant toute extension qui ne sert pas, en vérifiant qu'une extension est encore suivie avant de l'installer, en appliquant les correctifs vite et en supprimant les comptes administrateurs inutilisés.

Sur un site précalculé, la plus grande partie disparaît : il n'y a ni base de données à protéger ni serveur à tenir à jour devant le public. Il reste les accès (hébergement, domaine, dépôt du code) et les services branchés aux formulaires. Presque nulle ne veut pas dire nulle.

Exemple

Supposons deux sites fictifs de même taille. Le premier tourne sur WordPress avec 30 extensions, dont 6 ne sont plus mises à jour par leur auteur et 4 ne servent plus. Le second est un site précalculé avec un formulaire relié à un service d'envoi.

Le premier expose un serveur, une base de données, une page de connexion et 30 portes d'entrée tierces. Le second expose des fichiers déjà construits et un formulaire. Retirer les 4 extensions inutiles et remplacer les 6 abandonnées réduit déjà la surface du premier.

Notre lecture

Nous lisons la surface d'attaque comme un coût caché de l'architecture. Sur un WordPress classique, l'entretien de sécurité est une conséquence du choix technique, pas un abus du fournisseur : il faut le prévoir dès le départ, avec des mises à jour régulières et des sauvegardes hors serveur.

C'est une des raisons pour lesquelles nous privilégions le site précalculé pour les sites d'affaires. Nous restons prudents dans les mots : la surface y est presque nulle, pas absente. Les accès au domaine et à l'hébergement doivent rester au nom de l'entreprise et chaque outil ajouté se justifie.

À ne pas confondre avec

Vulnérabilité: Une vulnérabilité est une faille précise dans un logiciel. La surface d'attaque est l'ensemble des composants exposés où de telles failles peuvent se trouver.
Faille corrigée: Une faille corrigée par l'éditeur reste exploitable sur votre site tant que le correctif n'est pas appliqué. Le délai d'application est la vraie fenêtre de risque.

Concepts liés

Pour aller plus loin

Services associés

Questions fréquentes

Mon site est petit : est-ce que des pirates s'y intéressent vraiment ?

Oui, parce que la plupart des attaques sont automatiques. Des robots cherchent des logiciels et des extensions qui ont une faille connue, sans regarder la taille ni la réputation du site. Ce qui vous expose, c'est ce qui tourne sur votre site, pas votre notoriété.

Combien d'extensions WordPress puis-je installer sans risque ?

Il n'y a pas de nombre limite. Chaque extension ajoute une dépendance et une surface d'attaque. La bonne règle est de retirer toute extension dont la fonction n'est pas réellement utilisée et de vérifier qu'une extension est encore suivie par son auteur avant de l'installer.

← Tout le lexique